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Abstract of EP1 059576 

The switch has at least two actuators, and the 
power supply is only switched on if both are 
activated simultaneously. The actuators are 
connected to a code generator which outputs a 
numerical word that is divided into two sub- 
words. To check the switching state of the 
actuators, the sub-words are read synchronously 
into an evaluation unit (8). The value of each sub- 
word is influenced by a respective actuator. 
When the actuators are activated, the values of 
the sub-words is continuously varied. When one 
actuator is deactivated, the corresponding sub- 
word assumes a fixed predetermined value. 
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(54) Sichertieitsschalteranordnung mit zwei Aktoren 

(57) Die Erfindung betrifft eine Sicherheitsschalter- 
anordnung (2) zum Ein- und Ausschalten derStromver- 
sorgung eines Arbeitsge rates mittels wenigstens zweier 
Aktoren, wobei die Stromversorgung nur bei gleichzeitig 
aktivierten Aktoren eingeschaltet ist. Die Aktoren sind 
an einen Codegenerator (19) angeschlossen. Vom 
Codegenerator (19) ist ein Zahlenwort ausgebbar, wel- 
ches in zwei Teilworte unterteilt ist, deren Werte von 
jeweils einem Aktor beeinfluBbar sind. Bei aktvierten 
Aktoren werden die Werte der Teilworte jeweils fortlau- 
fend geandert Infolge der Deaktivierung eines Aktors 
nimmt das zugeordnete Teilwort einen fest vorgegebe- 
nen Wert ein. Zur Uberprufung der Schaltzustande der 
Aktoren werden die Teilworte synchron in eine Auswer- 
teeinheit (8) eingelesen. 
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Beschreibung 

[0001) Die Erfindung betr'rfft eine Sicherheitsschal- 
teranordnung gemaB dem Oberbegriff des Anspruchs 

1. 5 

[0002] Eine derartige Sicherheitsschalteranord- 
nung ist aus der DE 1 98 1 5 1 50 A1 bekannt. Dort ist zur- 
Uberwachung eines Arbeitsgerats eine Anordnung von 
Sensoren vorgesehen, wobei das Arbeitsgerat in 
Abhanglgkeit der Schaltzustande der Sensoren In io 
Betrleb gesetzt wird. Die Sensoren bilden Slaves elnes 
nach dem Master-Slave- Prinzip arbeitenden Bussy- 
stems. Der Master ist von einer Steuereinhe'rt gebildet, 
welcher die Slaves unter vorgegebenen Adressen 
zyklisch abfragL is 
[0003] Die Sensoren sind von Lichtschranken mit 
jeweils einem Sender und einem Empfanger gebildet, 
wobei jeder Sender Sendelichtstrahlen rn'rt einer indivi- 
duellen Kodierung an den zugeordneten Empfanger 
aussendet. An das Bussystem ist eine redundante Aus- 20 
werteeinhe'rt angeschlossen, welche fortlaufend die 
uber das Bussystem ubertragenen Signale abhdrt. Nur 
bei fehlerfreier Identifizierung der von den Empfangern 
iiber das Bussystem ubertragenen Kodierungen wird 
das Arbeitsgerat uber die Auswerteeinheit in Betrieb 25 
gesetzt. 

[0004] Vorteilhaft bei dieser Anordnung ist, daB 
durch Auswertung der Kodierungen in der Auswerteein- 
heit Ubertragungsfehler bei der Ubertragung von Signa- 
len uber das Bussystem mit groBer Sicherhe'rt 30 
aufgedeckt werden konnen. 

[0005] Dabei brauchen die Sensoren in vorteilriaf- 
terweise nicht redundant aufgebaut sein um dennoch 
die Ubertragung der Signale auf dem Bussystem mit 
dem fur den Einsatz der Anordnung im Bereich des Per- 35 
sonenschutzes erfordertichen Sicherheitsniveau uber- 
prufen zu konnen. 

[0006] Prinziplell ist es dabei auch mSglich anstelle 
von Sensoren auch Aktoren wie zum Beispiel Notaus- 
schalter als Slaves an das Bussystem anzuschalten. 40 
Derartige Notausschaiter sind aus Sicherheitsgrunden 
zweikanalig aufgebaut. Jeder Notausschaiter weist 
somit zwei Kontakte auf, welche bei Betatigen des Not- 
ausschalters gedffnet werden. Der 2ustand eines nicht 
betatigten Notausschalters entspricht dem storungs- 45 
freien Betrieb. In diesem Betriebszustand werden ana- 
log zu einer Lichtschranke bei freiem Strahlengang die 
Kodierungen zur Auswerteeinheit ubertragen. Diese 
Kodierungen konnen beispielsweise in Form eines 4-bit 
breiten Zahlenworts ubertragen werden, dessen Wert so 
sich nach einem bestimmten Ablauf fortlaufend Sndert. 
Wird der Notausschaiter betatigt. so entspricht dies 
einem St6rfall analog einem Objekteingriff in den Strah- 
lengang einer Lichtschranke. In diesem Fall wird vom 
Notausschaiter ein fester, von den Kodierungen ver- 55 
schiedener Wert des Zahlenworts an die Auswerteein- 
heit ubertragen, so daB das Arbeitsgerat auBer Betrieb 
gesetzt wird. Der Wert des Zahlenworts betragt fur ein 
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4-bit Zahlenwort beispielsweise .0000". 
[0007] Um das Arbeitsgerat auBer Betrieb zu set- 
zen, reicht es aus, einen Kontakt des Notausschalters 
zu dffnen. Jedoch bleibt in diesem Fall ein eventueller 
Defekt des zweiten Kontakts des Notausschalters uner- 
kannt. Fallt dann auch der zweite Kontakt des Notaus- 
schalters aus, so kann dies zu einer Gefahrdung des 
Bedienpersonals des Arbeitsgerates fuhren, da Qber 
den Notausschaiter das Arbeitsgerat nicht mehr 
abschaltbar 1st 

[0008] Der Erfindung liegt die Aufgabe zugrunde 
eine Sicherhe'rtsschalteranordnung der eingangs 
genannten Art so auszubilden, daB ein Inbetriebsetzen 
des Arbeitsgerates bei fehlerhaften Sicherhertsschal- 
tern vermieden wird. 

[0009] Zur Losung dieser Aufgabe sind die Merk- 
male des Anspruchs 1 vorgesehen. Vorteilhafte Ausfuh- 
rungsformen und zweckmaBige Weiterbildungen der 
Erfindung sind in den Unteranspruchen beschrieben. 
[0010] ErfindungsgemaB weist die Sicherheits- 
schalteranordnung zum Ein- und Ausschattern der 
Stromversorgung eines Arbeitsgerates wenigstens zwei 
Aktoren auf, wobei die Stromversorgung nur bei gleich- 
zertig aktivierten Aktoren eingeschaltet Ist. 
[0011] Die Aktoren sind an einen Codegenerator 
angeschlossen. Von diesem Codegenerator ist ein Zah- 
lenwort ausgebbar, welches in zwei Teilworte unterteilt 
ist. Dabei ist der Wert eines Teiiworts von jeweils einem 
der Aktoren beeinfluBbar. Zur Uberprufung der Schalt- 
zustande des Aktoren werden die Teilworte des Zahlen- 
wortes synchron in eine Auswerteeinheit eingelesen. 
[0012] Bei aktivierten Aktoren werden die Werte 
der Teilwort jeweils fortlaufend geandert. Dies wird in 
der Auswerteeinheit registriert, worauf das ArbeitsgerSt 
in Betrieb gesetzt wird. 

[0013] Sobald einer der Aktoren deaktiviert wird, 
nimmt das zugeordnete Teilwort einen festen Wert ein. 
Nur noch die Werte des Teilwortes, welches dem noch 
aktivierten Aktor zugeordnet ist, andern sich noch. 
[0014] Entsprechend nehmen beide Teilworte 
einen festen Wert ein, wenn beide Aktoren deaktiviert 
sind. 

[0015] Durch Auswertung der Werte der beiden 
Teilworte kann somit auf einfache Weise uberpruft wer- 
den, welcher der Aktoren zu bestimmten Zeitpunkten 
aktiviert ist. 

[0016] Eine Freigabe fur das Inbetriebsetzen des 
Arbeitsgerates erfolgt dabei nur dann, wenn beide Akto- 
ren aktiviert sind. Sobald wenigstens einer der Aktoren 
deaktiviert ist, wird dies in der Auswerteeinheit durch 
den zeitltch unver&nderten Wert derTeilfolge registriert, 
worauf das ArbeitsgerSt auBer Betrieb gesetzt wird. 
[0017] Mit der erfindungsgemaBen Sicherheits- 
schalteranordnung wird somit jeder Aktor durch die Auf- 
spaltung des Zahlenwortes in Teilworte uber den 
Codegenerator separat Qberwacht, wodurch eine hohe 
Fehlersicherhert gewahrleistet ist. 
[0018] Dabei k6nnen die beiden Aktoren ins- 
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besondere auch von redundant ausgebildeten Schalt- 
ausgangen von Lichtschranken, Uchtgitiern und 
ahnlichen Sensoreinrichtungen, die im Bereich des Per- 
son enschutzes eingesetzt werden, gebildet sein. Insbe- 
sondere konnen'die beiden Aktoren von redundant 
aufgebauten Kontakten eines Notausschaiters gebildet 
sein. 

[001 9] Bet derartkjen Anwendungen, insbesondere 
bei Notausschattern, konnen durch Leitungsdefekte 
Fehlfunktionen auftreten, so daB einzelne Aktoren nicht 
mehrdeaktivlerbarsind. Dieskann bei Notausschaltern 
durch einen KurzschluB der Zuleitungen zu einem Kon- 
takt des Notausschaiters verursacht sein. Tritt dieser 
Fehler bei Oder nach Betatigen des Notausschaiters 
auf, so werden zunachst beide Kontakte des Notaus- 
schaiters ge6ffnet Aufgrund des Kurzschlusses in den 
Zuleitungen lauft das entsprechende Teitwort we iter, 
wahrend das andere Teilwort auf einem festen Wert 
gehalten wird. Dadurch weicht der Wert des Zahlen- 
worts von einem vorgegebenen Wert ab, wodurch das 
Arbeitsgerat auBer Betrieb gesetzt wird. Soil nach einer 
vorgegebenen Zeit das Arbeitsgerat wieder freigegeben 
werden, wird vom Bedienpersonal der Notaussch alter 
aktiviertund damit freigegeben. Da in einer Zuleitung zu 
einem der Kontakt des Notausschaiters ein KurzschluB 
voriiegt, hatte sich vor der Aktivierung des Notausschai- 
ters der Wert des Teilwortes, welches den Zuleitungen 
mit dem KurzschluB zugeordnet war, bereits fortlaufend 
geandert, was in der Auswerteeinheit erkannt wird. 
Damit wird ein Wiedereinschalten verhindert und eine 
Stdrmeldung ausgegeben, obwohl sich durch Aktivie- 
ren des Notausschaiters die Werte beider Teilworte 
andern, was gleich einem fehlerfreien Betrieb ist. Ein 
Wiedereinschalten ist nur dann mSglich, wenn zuvor 
beide Teilworte den festen Wert .0000" angenommen 
haben. 

[0020] Prinzipiell kann in der Auswerteeinheit auch 
ein auftretender Fehler nichtfluchtig gespelchert wer- 
den. Ein Wiedereinschalten des Arbeitsge rates, bei- 
spielsweise nach einer Reparatur, ist in diesem Fall nur 
nach einem Anlauftest moglich, in welchem zunachst 
der Notaussch a Iter nicht betatigt, dann betatigt und 
schlieBlich wieder nicht betatigt ist. Nur wenn dabei die 
Werte der Teilworte jeweils den vorgegebenen Werte n 
entsprechen, wird das Arbeitsgerat eingeschaltet. 
[0021] Oie Erfindung wird im nachstehenden 
anhand derZeichnungen erlautert. Es zeigen: 

Figurl: Blockschaltbild von an ein Sensor-Aktor- 
Bussystem angeschlossenen Sicherheits- 
schalteranordnungen. 

Figur2: Blockschaltbild eines ersten Ausfuhrungs- 
beispiels einer Sicherheitsschalteranord- 
nung gemaB Figur 1. 

Figur3: Blockschaltbild eines zweiten Ausfuh- 
rungsbeispiels einer Sicherheitsschalter- 



anordnung gemaB Figur 1. 

[0022] Figur 1 zeigt ein nach dem Master-Slave- 
Prinzip arbeitendes Bussystem l. An dieses Bussystem 

5 1 sind Sicherheitsschafteranordnungen 2 angeschlos- 
sen, welche jeweils zwei Aktoren aufweisen. Vorzugs- 
weise sind diese Sicherheitsschalteranordnungen 2 
Bestandteil von redundant aufgebauten Einrichtungen 
zum Einsatz im Bereich des Personenschutzes. 

w [0023] Die Steherhertsschalteranordnungen 2 Wi- 
den die Staves des Bussystems 1. Das Bussystem l 
wird vom Master, der von einer Steuereinheit 3, bei- 
spielsweise einer SPS-Steuerung, gebildet ist, zentral 
gesteuert. Der Master und die Slaves sind uber Buslei- 

is tungen 4 miteinander verbunden. Die Stromversorgung 
erfolgt Qber ein Netzteil 5. 

[0024] Der Master fragt die einzelnen Slaves unter 
vorgegebenen A dress en zyklisch ab, worauf jeder 
Slave ein Antwort an den Master sendet. 

20 [0025] Im voriiegenden Fall ist das Bussystem 1 
vom ASi-Bussystem gebildet. Das ASi-Bussystem ist 
insbesondere fur den AnschluB von binaren Sensoren 
und Aktoren konzipiert. Die Funktionsweise des ASi- 
Bussystem ist in .AS I - Das Aktuator Sensor Interface 

25 fur die Automation", Werner Kriesel, Otto W. Madelung, 
Carl Hanser Verlag, 1994 beschreiben, dessen Inhalt in 
den Offenbarungsgehalt dieser Anmeldung miteinbezo- 
gen wird. 

[0026] Bei diesem Bussystem 1 besteht ein Master- 
30 auf ruf aus einem Startbit, einer 5 Bit-breiten Adresse, 2 
Bit Steuerinformation, 4 Bit Nutzdaten sowie jeweils 
einem Paritats- und Stopp-Bit. Die zugehorige Sla- 
veantwort enthalt ein Start-Bit, 4 Bit Nutzdaten sowie 
jeweils ein Paritats- und Stopp-Bit. Ein Slave QberprOft 
35 den empfangenen Masteraufruf anhand vorgegebener 
ASi-spezifischer Kodierungsregeln. Erkennt der Slave 
einen gultigen Masteraufruf, so sendet er eine entspre- 
chende Antwort. In alien anderen Fallen antwortet er 
nicht. Ebenso verwirft der Master eine Slaveantwort, 
40 wenn sie den entsprechenden Kodierungsregeln nicht 
entspricht. 

[0027] Die Daten sind Manchester-kodiert und wer- 
den als alternierende, sin 2 -f6rmige Spannungsimpulse . 
Qber die Busleltungen 4 ubertragen. 

45 [0028] Hierzu ist dem Master eine Analogschaltung 
6 nachgeordnet, welche ein jeweils nicht dargestelltes 
Sendeelement und ein Empfangselement aufweist. Im 
Sendeelement werden die binaren Daten eines Master- 
aufrufs in eine Folge von sin 2 -formigen Spannungsim- 

so pulse umgewandelt. Diese Signale werden uber die 
Busleitungen 4 an die Slaves gesendet. Die von den 
Slaves uber die Busleitungen 4 an den Master gesen- 
deten Signale werden in dem Empfangselement in 
binare Datenfolgen umgewandelt. 

55 [0029] Jedem Slave ist ein Schnittstellenbaustein 7 
zugeordnet, der in dem voriiegenden Beispiel von 
einem ASi-IC gebildet ist Im Schnittstellenbaustein 7 
werden die uber die Busleitung 4 empfangenen Folgen 
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Anspruche 1 - 4, dadurch gekennzeichnet, daB der 
Codegenerator (19) einen Pseudo-Zufallsgenerator 
zur Anderung des Wertes des Zahlenwortes auf- 
weist 

5 

6. Sicherhertsschalteranordnung nach Anspruch 5, 
dadurch gekennzeichnet, daB der Pseudo-Zufalls- 
generator einen Zahler (31) und eine Codetabelle 
(32) aufweist, wobei in der Codetabelle (32) unter 
Adressen verschiedene Werte des Zahlenwortes w 
hinteriegt sind, und wobei der Zahler (31) nacheln- 
ander Adressen zum Abrufen der entsprechenden 
Werte aus der Codetabelle (32) generiert 

7. Sichemeitsschalteranordnung nach Anspruch 5, 15 
dadurch gekennzeichnet, daB der Pseudo-Zufalls- 
generator einen ZShler (31) undzwei Codetabellen 
(33, 34) aufweist, wobei in jeder Codetabelle (33, 
34) unter Adressen verschiedene Werte jeweils 
eines Teilworts hinteriegt sind, und wobei der Zfih- 20 
ler (31) nacheinander Adressen zum synchronen 
Abrufen der entsprechenden Werte aus den beiden 
Codetabellen (33. 34) generiert. 

8. Sicherheitsschalteranordnung nach einem der 25 
Ansprtlche 5 - 7, dadurch gekennzeichnet, daB das 
Zahlenwort als 4-bit breites binares Zahlwort aus- 
gebildet 1st. 

9. Sicherheitsschalteranordnung nach Anspruch 8, 30 
dadurch gekennzeichnet, daB jedes Teilwort als 2- 

bit breites binares Teilwort ausgebildet ist. 

10. Sicherheitsschalteranordnung nach einem der 
Anspruch 8 oder 9, dadurch gekennzeichnet, daB 35 
jedes Bit des Zahlenworts jeweils uber eine Signal- 
leitung (20-23) am Ausgang des Codegenerators 
(19) ausgelesen wlrd. 

11. Sicherheitsschalteranordnung nach Anspruch 8, 40 
dadurch gekennzeichnet, daB die Aktoren jeweils 
uber eine Zuleitung (17, 18) an den Codegenerator 
(19) angeschlossen sind, uber welchen der Schalt- 
zustand des Aktors in den Codegenerator (19) ein- 
gelesen wird, und daB bei einem der Aktivierung 45 
eines Aktors entsprechenden Schaltzustand die 
Signalleitungen (20, 21 oder 22, 23) des zugeord- 
neten Teilworts die Bitwerte 00 oder 1 1 einnehmen. 

12. Sicherheitsschalteranordnung nach Anspruch 11, so 
dadurch gekennzeichnet, daB in der Codetabelle 
(32) oder in den Codetabellen (33, 34) binare 
Zufallswerte im Bereich.von 0001 bis 1110 abge- 
speichert sind. 

55 

13. Sicherheitsschalteranordnung nach Anspruch 12, 
dadurch gekennzeichnet, daB der Zahler (31) als 
modulo-8-Zahler mit den die Adressen bildenden 



Zahlerstanden im Bereich von 0 bis 7 ausgebildet 
ist 

14. Sicherheitsschalteranordnung nach einem der 
Anspruche 1-13, dadurch gekennzeichnet, daB 
die Auswerteeinheit (8) redundant aufgebaut ist 

15. Sicherheitsschalteranordnung nach einem der 
Ansprtlche 1-14, dadurch gekennzeichnet, daB 
die Auswerteeinheit (8) an ein Bussystem (1) ange- 
schlossen ist, welches von einer Steuereinhelt (3) 
gesteuert ist, wobei die Auswerteeinheit (8) fortlau- 
fend die uber das Bussystem (1) ubertragenen 
Signale abhort. 

16. Sicherheitsschalteranordnung nach Anspruch 15, 
dadurch gekennzeichnet, daB die Aktoren uber 
einen Schnittstellenbaustein (7) an das Bussystem 
(1) angeschlossen sind. 

17. Sicherheitsschalteranordnung nach Anspruch 16, 
dadurch gekennzeichnet, daB die Signalleitungen 
(20 - 23) am Ausgang des Codegenerators (1 9) zur 
Obertragung der Bits des Zahlenworts auf jeweils 
einen Eingang D0-D3 eines Schnittstellenbausteins 
(7) gefuhrt sind. 

18. Sicherheitsschalteranordnung nach einem der 
Anspruche 15-17, dadurch gekennzeichnet daB 
das Bussystem (1) nach dem Master-Slave Prinzip 
arbeitet, wobei der Master von der Steuereinheit (3) 
gebildet ist. 

19. Sicherheitsschalteranordnung nach einem der 
Anspruche 4-1 8, dadurch gekennzeichnet, daB bei 
Ausschalten der Stromversorgung des ArbeitsgerS- 
tes infolge eines Fehlers dieser in der Auswerteein- 
heit (8) nichtflOchtig gespeichert wird, daB vor 
Einschalten der Stromversorgung des Arbeitsgerfi- 
tes der Notausschalter zunachst nicht betatigt, 
dann betatigt und darauf wieder nicht betatigt ist, 
und daB das Einschalten nur dann durch die Aus- 
werteeinheit (8) freigegeben wird, falls Herbei 
jeweils die entsprechenden Werte der Teilworte 
registriert werden. 
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(54) Sicherheitsschalteranordnung mit zwei Aktoren 

(57) Die Erfindung betrifft eine Sicherheitsschalter- 
anordnung (2) zum Ein- und Ausschalten der Stromver- 
sorgung eines Arbeitsge rates mittels wenigstens zweier 
Aktoren, wobei die Stromversorgung nurbei gleichzeitig 
aktivierten Aktoren eingeschaltet ist. Die Aktoren sind ; 
an einen Codegenerator (19) angeschlossen. Vom Co- 
degenerator (1 9) ist ein Zahlenwort ausgebbar, welches 
in zwei Teilworte unterteilt ist, deren Werte von jeweils 
einem Aktor beeinfluBbar sind. Bei aktvierten Aktoren 
werden die Werte der Teilworte jeweils fortlaufend ge- 
andert. Infolge der Deaktivierung eines Aktors nimmt 
das zugeordnete Teilwort einen fest vorgegebenen Wert 
ein. Zur Uberprufung der Schaltzustande der Aktoren 
werden die Teilworte synchron in eine Auswerteeinheit 
(8) eingelesen. . 
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